BDU:2022-00667

Средний

BDU:2022-00667: Уязвимость централизованной системы управления аварийными сообщениями и событиями CAMS распределенных систем управления CENTUM, позволяющая нарушителю вызвать сбой в работе сервера, включая подавление аварийных сигналов

CVSS v37.8

CVSS v26.5

Пересчитать в калькуляторе Открыть на bdu.fstec.ru К реестру

Описание

Уязвимость централизованной системы управления аварийными сообщениями и событиями CAMS распределенных систем управления CENTUM связана с использованием предустановленных учетных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать сбой в работе сервера, включая подавление аварийных сигналов

Что делать с BDU:2022-00667

Уязвимость среднего уровня (CVSS 7.8) — устраните в рамках планового цикла обновлений. Рекомендуемый срок — 30 дней. Оцените применимость к вашей инфраструктуре через список затронутого ПО.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1

7.8Высокий

Пересчитать →

6.5

Только просмотр

AV:A/AC:H/PR:N/UI:R/S:C/C:L/I:H/A:HAV:A/AC:H/Au:N/C:P/I:C/A:C

CWE — тип уязвимости

CWE-798

CVE — международный идентификатор

CVE-2022-23402

YSAR-22-0001

CWE-798

Захардкоженные учётные данные

Пароли, ключи API или токены хранятся в исходном коде. Приводит к компрометации при утечке кода.

Как атакуют и что делать ▾

Сценарий атаки

Пароль БД или API-ключ захардкожен в коде. При утечке репозитория (GitHub, дамп) атакующий получает доступ.

Последствия

Полный доступ к внешним сервисам, БД, облачным ресурсам.

Рекомендации

Храните секреты в переменных окружения или vault (HashiCorp Vault, AWS SSM). Сканируйте код на secrets.

Тактики и техники

Нарушение аутентификации

Уязвимое ПО (7)

Вендор	Название	Версия	Платформа
Yokogawa Electric Corporation	CENTUM VP	от R5.01.00 до R5.04.20 включительно	Не указана
Yokogawa Electric Corporation	B/M9000CS	от R5.04.01 до R5.05.01 включительно	Не указана
Yokogawa Electric Corporation	B/M9000 VP	от R6.01.01 до R8.03.01 включительно	Не указана
Yokogawa Electric Corporation	Exaopc	до R3.80.00	Не указана
Yokogawa Electric Corporation	CENTUM VP	от R6.01.00 до R6.08.00 включительно	Не указана
Yokogawa Electric Corporation	CENTUM VP Entry Class	от R5.01.00 до R5.04.20 включительно	Не указана
Yokogawa Electric Corporation	CENTUM VP Entry Class	от R6.01.00 до R6.08.00 включительно	Не указана

Источники (1)

https://web-material3.yokogawa.com/1/32094/files/YSAR-22-0001-E.pdf?_ga=2.186516…

SLA ФСТЭК №117

7 дней

по базовой оценке CVSS 7.8

Уточните SLA под вашу среду

Базовый балл 7.8 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Отслеживать (повышенный)

Умеренный риск. Включите в плановый цикл обновлений, следите за изменением EPSS.

EPSS — вероятность эксплуатации0.4%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2022-01-07

Опубликована

2022-02-07

Обновлена

2022-04-06

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

Уязвимости → активы → ответственные — цепочка за минуту
SLA-таймеры и эскалация — дедлайны не горят
PDF-отчёт для ФСТЭК — за один клик

Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2022-23402 MITRE: CWE-798 Каталог CPE (ФСТЭК)